TrueExpert

Безопасность

Последнее обновление: ноябрь 2026 года.

На этой странице перечислены только те меры защиты, которые действительно есть в TrueExpert. Мы не заявляем о сертификатах и аудитах, которых у нас нет.

1. Соединение

Сайт и API работают по HTTPS (TLS), а в рабочей среде cookie входа помечается как защищённый и передаётся только по зашифрованному соединению.

2. Пароли и вход

  • Пароли хранятся только в виде хэшей, никогда в открытом виде.
  • Для входа используется токен в httpOnly-cookie, недоступный скриптам на странице. Cookie использует SameSite=Lax и действует 7 дней.
  • Прежде чем публиковать контент, нужно подтвердить адрес электронной почты.
  • Ссылки для сброса пароля и подтверждения почты привязаны к вашей учётной записи и имеют срок действия.
  • Двухфакторная аутентификация пока недоступна.

3. Контроль доступа

  • Роли: у кандидатов, работодателей и администраторов разные права, а администрирование доступно только администраторам.
  • Участники компании видят её вакансии и отклики, только если их добавили в эту компанию.
  • Имя и контакты кандидата скрыты от работодателей, пока контакты не открыты в рамках предложения.
  • Права проверяются на сервере при каждом запросе, а не только в интерфейсе.

4. Защита от злоупотреблений

  • Ограничения частоты запросов на отклики, быстрые отклики, жалобы, создание вакансий и резюме, подписки, приглашения и одноразовые ссылки, а также на подсказки поиска и карту.
  • Проверка вводимых данных на сервере и ограничения на размер загружаемых файлов.
  • Лимиты на число вакансий, резюме и откликов на одну учётную запись и за сутки, поиск дубликатов и подтверждение почты перед публикацией.
  • Ссылки отписки и «прекратить рассылку» подписаны, а ссылки на отклики для работодателей одноразовые.

5. Модерация контента

Вакансии и резюме проходят проверку по правилам и администраторами, а при включении — ещё и автоматическую проверку с помощью ИИ. Жалобы нескольких пользователей скрывают контент до решения администратора. Какие данные использует проверка ИИ, описано в Политике конфиденциальности.

6. Ваш ключ для функций с ИИ

Если вы решили использовать собственный ключ Google API, он хранится только в вашем браузере, а содержимое уходит из браузера напрямую в Google, минуя наши серверы. Держите ключ в тайне и отзовите его в аккаунте Google, если подозреваете утечку.

7. Что можете сделать вы

  • Используйте длинный уникальный пароль.
  • Не передавайте другим ссылку для входа и ссылку из письма об отклике.
  • Будьте осторожны с работодателями, которые просят деньги, копии документов или банковские данные, и сообщайте о них.
  • Выходите из аккаунта на чужих компьютерах.

8. Сообщить о проблеме безопасности

Если вы нашли уязвимость или подозрительную активность, напишите на support@true.expert с описанием и, по возможности, шагами воспроизведения. Пожалуйста, не публикуйте подробности, пока мы не успели исправить проблему, и не обращайтесь к чужим данным.